ISO 27001 für gemeinnützige Organisationen: Vertrauen schützen

Die Freie Wohlfahrtspflege ist einer der größten Arbeitgeber des Landes. Die Gesamtstatistik der BAGFW zählt 125.370 Einrichtungen und Dienste mit über zwei Millionen hauptamtlich Beschäftigten, dazu rund drei Millionen Menschen im Ehrenamt. In diesen Einrichtungen liegen Daten über Gesundheit, Herkunft, Familienverhältnisse und finanzielle Notlagen. Das ist kein Nebenschauplatz der IT, das ist der Kern des Vertrauensverhältnisses zu den Menschen, die betreut werden.

Warum lohnt sich ISO 27001 für gemeinnützige Organisationen trotz knapper Mittel?

Weil der Schutzbedarf hier höher ist als in vielen Unternehmen, die Ressourcen aber geringer. Sozial- und Gesundheitsdaten fallen unter Artikel 9 DSGVO, also unter die besonderen Kategorien personenbezogener Daten, für die strengere Anforderungen gelten. Ein Verlust trifft nicht eine Bilanz, sondern Menschen in ohnehin schwierigen Lebenslagen.

ISO 27001 hilft dabei gerade wegen der knappen Mittel. Die Norm erlaubt ausdrücklich, Geltungsbereich und Maßnahmentiefe an Größe und Risiko auszurichten. Der Annex A der Fassung 2022 stellt 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird, nicht abgearbeitet. Und der Standard ist etabliert: Die ISO-Survey zählt weltweit 96.709 gültige Zertifikate, rund eine Verdopplung gegenüber dem Vorjahr. Seit dem 31. Oktober 2025 gilt allein die Fassung von 2022.

Welches Datenschutzrecht gilt neben ISO 27001 für gemeinnützige Organisationen?

Das ist die Frage, die im Sektor am häufigsten übersehen wird. Neben der DSGVO gibt es ein eigenes kirchliches Datenschutzrecht, gestützt auf Artikel 91 DSGVO: das Kirchliche Datenschutzgesetz KDG auf katholischer Seite und das Datenschutzgesetz der EKD auf evangelischer Seite.

Das ist kein formaler Nebenaspekt. Diese Gesetze gelten für Diözesen, Kirchengemeinden und Stiftungen, ausdrücklich auch für den Deutschen Caritasverband, die Diözesan-Caritasverbände und diakonische Einrichtungen, und ebenso für Dienstleister, die in ihrem Auftrag Daten verarbeiten. Zuständig sind eigene kirchliche Datenschutzaufsichten statt der staatlichen Behörden, mit einem eigenen Bußgeldrahmen von bis zu 500.000 Euro. Wer als Träger unter kirchlichem Recht steht und als Leistungserbringer zugleich das Sozialgeheimnis beachten muss, hat es also mit mehreren Regelwerken zu tun, die dieselben technischen Maßnahmen verlangen. Genau dafür ist ein Managementsystem gebaut.

Welche Risiken adressiert ISO 27001 für gemeinnützige Organisationen konkret?

Die Bedrohungslage macht keinen Unterschied zwischen Konzern und Verein. Die Bitkom-Studie „Wirtschaftsschutz 2025“ bilanziert 289,2 Milliarden Euro Schaden, 87 Prozent der Unternehmen waren betroffen, 59 Prozent sehen ihre Existenz bedroht. Ransomware traf 34 Prozent, gegenüber 12 Prozent im Jahr 2022. Der Verizon Data Breach Investigations Report 2025 nennt Zugangsdatenmissbrauch mit 22 Prozent und ausgenutzte Schwachstellen mit 20 Prozent als führende Einstiegsvektoren.

Der Unterschied liegt in der Folge. Fällt die IT eines Trägers aus, stehen nicht Umsätze still, sondern Beratungsstellen, Pflegedienste und Notunterkünfte. Dezentrale Standorte, wechselnde Ehrenamtliche und geteilte Geräte erschweren dabei genau das, was am wirksamsten wäre: klare Zugänge und sauberes Offboarding. Wer Kliniken oder Pflegeeinrichtungen betreibt, hat zusätzlich die Pflichten aus dem Sozialgesetzbuch und je nach Größe aus der KRITIS-Regulierung im Blick zu behalten.

Was bringt ISO 27001 für gemeinnützige Organisationen bei Fördermittelgebern und Spendern?

Zwei Dinge, die sich schwer ersetzen lassen. Öffentliche Zuwendungsgeber und institutionelle Förderer prüfen zunehmend, wie Mittel und Daten gesichert sind, und ein anerkanntes Zertifikat beantwortet diesen Teil der Prüfung einmal statt in jedem Antrag neu.

Der zweite Punkt ist die Reputation. Spenderdaten und Klientendaten sind das Kapital der Organisation, und ein öffentlich gewordener Vorfall kostet Vertrauen, das über Jahre aufgebaut wurde. Dass Sicherheit inzwischen als normale Betriebsausgabe gilt, zeigt die Budgetseite: Unternehmen stecken laut Bitkom 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 für gemeinnützige Organisationen bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch, und der Sektor startet selten bei null. Wer seine Verarbeitungstätigkeiten für die DSGVO oder das kirchliche Recht schon dokumentiert hat, besitzt bereits einen Teil dessen, was die Norm verlangt.

Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits. Der wirksamste Hebel bleibt der Geltungsbereich: die zentralen Klienten- und Spendersysteme sowie die Standorte, an denen sensible Daten tatsächlich verarbeitet werden.

Was steht im Whitepaper?

• Warum der gemeinnützige Sektor von Vertrauen und Daten zugleich lebt und was Förderer inzwischen abfragen
• Fünf Eigenheiten gemeinnütziger Organisationen, von knappen Mitteln über dezentrale Standorte bis zum Zusammenspiel von Haupt- und Ehrenamt
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie vorhandene Datenschutzdokumentation zum Startpunkt für das ISMS wird, mit einem Praxisbeispiel

Das Whitepaper richtet sich an Vorstände und Geschäftsführungen, Datenschutz- und IT-Verantwortliche in Wohlfahrtsverbänden, sozialen Trägern, Stiftungen und Vereinen. Laden Sie es kostenfrei herunter.